更新时间:2024-03-15 GMT+08:00

TLS安全策略

操作场景

对于银行,金融类加密传输的应用 ,在创建和配置HTTPS监听器时,您可以选择使用安全策略,可以提高您的业务安全性。安全策略包含TLS协议版本和配套的加密算法套件。

  • 独享型负载均衡:支持选择默认安全策略或创建自定义策略
  • 共享型负载均衡:仅支持选择默认安全策略。

当前仅中国-香港、亚太-曼谷和亚太-新加坡区域支持创建自定义安全策略

添加安全策略

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标,选择区域和项目。
  3. 单击页面左上角的,选择“网络 > 弹性负载均衡”。
  4. 在“负载均衡器”界面,单击需要创建安全策略的监听器的负载均衡器名称。
  5. 在该负载均衡界面的“监听器”区域,单击“添加监听器”。
  6. 在“添加监听器”界面,前端协议选择“HTTPS”。
  7. 在“添加监听器”界面,选择“高级配置 > 安全策略”。
    支持选择默认策略或自定义策略。如果列表中无自定义策略,您可以选择创建自定义策略。默认策略如表1所示。
    表1 默认安全策略参数说明

    名称

    说明

    支持的TLS版本类型

    使用的加密套件列表

    TLS-1-0

    支持TLS 1.0、TLS 1.1、TLS 1.2版本与相关加密套件,兼容性好,安全性低。

    TLS 1.2

    TLS 1.1

    TLS 1.0

    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • AES128-GCM-SHA256
    • AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-SHA256
    • ECDHE-RSA-AES128-SHA256
    • AES128-SHA256
    • AES256-SHA256
    • ECDHE-ECDSA-AES256-SHA384
    • ECDHE-RSA-AES256-SHA384
    • ECDHE-ECDSA-AES128-SHA
    • ECDHE-RSA-AES128-SHA
    • ECDHE-RSA-AES256-SHA
    • ECDHE-ECDSA-AES256-SHA
    • AES128-SHA
    • AES256-SHA

    TLS-1-1

    支持TLS 1.1、TLS 1.2版本与相关加密套件,兼容性较好,安全性中。

    TLS 1.2

    TLS 1.1

    TLS-1-2

    支持TLS 1.2版本与相关加密套件,兼容性较好,安全性高。

    TLS 1.2

    TLS-1-2-Strict

    支持TLS 1.2版本与相关加密套件,兼容性一般,安全性高。

    TLS 1.2

    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • AES128-GCM-SHA256
    • AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-SHA256
    • ECDHE-RSA-AES128-SHA256
    • AES128-SHA256
    • AES256-SHA256
    • ECDHE-ECDSA-AES256-SHA384
    • ECDHE-RSA-AES256-SHA384

    TLS-1-0-WITH-1-3(独享型实例)

    支持TLS 1.0及以上版本与相关加密套件,兼容性最好,安全性低。

    TLS 1.3

    TLS 1.2

    TLS 1.1

    TLS 1.0

    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • AES128-GCM-SHA256
    • AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-SHA256
    • ECDHE-RSA-AES128-SHA256
    • AES128-SHA256
    • AES256-SHA256
    • ECDHE-ECDSA-AES256-SHA384
    • ECDHE-RSA-AES256-SHA384
    • ECDHE-ECDSA-AES128-SHA
    • ECDHE-RSA-AES128-SHA
    • ECDHE-RSA-AES256-SHA
    • ECDHE-ECDSA-AES256-SHA
    • AES128-SHA
    • AES256-SHA
    • TLS_AES_128_GCM_SHA256
    • TLS_AES_256_GCM_SHA384
    • TLS_CHACHA20_POLY1305_SHA256
    • TLS_AES_128_CCM_SHA256
    • TLS_AES_128_CCM_8_SHA256

    TLS-1-2-FS-WITH-1-3(独享型实例)

    支持TLS 1.2及以上版本与前向安全相关的加密套件,兼容性较好,安全性最高。

    TLS 1.3

    TLS 1.2

    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES128-SHA256
    • ECDHE-RSA-AES128-SHA256
    • ECDHE-ECDSA-AES256-SHA384
    • ECDHE-RSA-AES256-SHA384
    • TLS_AES_128_GCM_SHA256
    • TLS_AES_256_GCM_SHA384
    • TLS_CHACHA20_POLY1305_SHA256
    • TLS_AES_128_CCM_SHA256
    • TLS_AES_128_CCM_8_SHA256

    TLS-1-2-FS(独享型实例)

    支持TLS 1.2版本与前向安全相关的加密套件,兼容性一般,安全性最高。

    TLS 1.2

    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • ECDHE-ECDSA-AES128-SHA256
    • ECDHE-RSA-AES128-SHA256
    • ECDHE-ECDSA-AES256-SHA384
    • ECDHE-RSA-AES256-SHA384

    tls-1-2-strict-no-cbc(独享型实例)

    支持TLS 1.2版本与不含CBC模式的加密套件,兼容性一般,安全性高。

    TLS 1.2

    • ECDHE-ECDSA-AES256-GCM-SHA384
    • ECDHE-ECDSA-AES128-GCM-SHA256
    • ECDHE-RSA-AES256-GCM-SHA384
    • ECDHE-RSA-AES128-GCM-SHA256
    • 安全策略“TLS-1-0-WITH-1-3”、“TLS-1-2-FS-WITH-1-3”、“TLS-1-2-FS”、“hybrid-policy-1-0”、“tls-1-2-strict-no-cbc”目前仅支持独享型实例。
    • 目前,独享型负载均衡安全策略最高支持TLS 1.3协议,共享型负载均衡安全策略最高支持TLS 1.2协议。
    • 上述列表为ELB支持的加密套件,同时客户端也支持多个加密套件,这样在实际使用时,加密套件的选择范围为:ELB和客户端支持的加密套件的交集,加密套件的选择顺序为:ELB支持的加密套件顺序。
  8. 配置完成,单击“确定”。

安全策略差异说明

表2 安全策略差异说明

安全策略

TLS-1-0

TLS-1-1

TLS-1-2

TLS-1-2-Strict

TLS-1-0-WITH-1-3

TLS-1-2-FS-WITH-1-3

TLS-1-2-FS

TLS 协议

Protocol-TLS 1.3

-

-

-

-

Protocol-TLS 1.2

Protocol-TLS 1.1

-

-

-

-

Protocol-TLS 1.0

-

-

-

-

-

加密套件

EDHE-RSA-AES128-GCM-SHA256

-

-

-

ECDHE-RSA-AES256-GCM-SHA384

ECDHE-RSA-AES128-SHA256

ECDHE-RSA-AES256-SHA384

AES128-GCM-SHA256

-

-

AES256-GCM-SHA384

-

-

AES128-SHA256

-

-

AES256-SHA256

-

-

ECDHE-RSA-AES128-SHA

-

-

-

ECDHE-RSA-AES256-SHA

-

-

-

AES128-SHA

-

-

-

AES256-SHA

-

-

-

ECDHE-ECDSA-AES128-GCM-SHA256

ECDHE-ECDSA-AES128-SHA256

ECDHE-ECDSA-AES128-SHA

-

-

-

ECDHE-ECDSA-AES256-GCM-SHA384

ECDHE-ECDSA-AES256-SHA384

ECDHE-ECDSA-AES256-SHA

-

-

-

ECDHE-RSA-AES128-GCM-SHA256

-

-

-

-

TLS_AES_256_GCM_SHA384

-

-

-

-

TLS_CHACHA20_POLY1305_SHA256

-

-

-

-

TLS_AES_128_GCM_SHA256

-

-

-

-

TLS_AES_128_CCM_8_SHA256

-

-

-

-

TLS_AES_128_CCM_SHA256

-

-

-

-

创建自定义策略

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标,选择区域和项目。
  3. 单击页面左上角的,选择“网络 > 弹性负载均衡”。
  4. 单击页面左边的“TLS安全策略”。
  5. 在TLS安全策略页面,单击页面右上角的“创建自定义策略”。
  6. 配置自定义策略参数,参数说明参见表3
    表3 自定义策略参数说明

    参数

    说明

    样例

    名称

    自定义策略的名称。

    tls-test

    选择协议版本

    自定义策略支持的TLS协议版本类型。支持选择多个协议版本。

    包含:

    • TLS 1.0
    • TLS 1.1
    • TLS 1.2
    • TLS 1.3

    -

    选择加密算法套件

    选择与协议版本配套的加密算法套件。支持选择多个加密算法套件。

    -

    描述

    自定义策略相关信息的描述说明。

    -

  7. 确认参数配置,单击“确定”。

修改自定义安全策略

您可根据使用需求对创建完成的自定义安全策略进行修改。

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标,选择区域和项目。
  3. 单击页面左上角的,选择“网络 > 弹性负载均衡”。
  4. 单击页面左边的“TLS安全策略”。
  5. 在TLS安全策略页面,待修改的自定义安全策略所在行的操作列,单击“修改“。
  6. 在“修改自定义安全策略“弹窗,修改自定义安全策略,参数说明参见表3
  7. 确认参数配置,单击“确定”。

删除自定义安全策略

您可对创建完成的自定义安全策略进行删除。

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标,选择区域和项目。
  3. 单击页面左上角的,选择“网络 > 弹性负载均衡”。
  4. 单击左侧导航栏的“TLS安全策略”。
  5. 在TLS安全策略页面,待删除的自定义安全策略所在行的操作列,单击“删除“。
  6. 在确认删除弹窗,单击“是“。

修改安全策略

修改安全策略时,后端服务器需要放通安全组,放开对ELB健康检查的限制(100.125IP的限制,UDP健康检查icmp报文的限制等),否则后端健康检查没上线,会影响业务。

  1. 登录管理控制台。
  2. 在管理控制台左上角单击图标,选择区域和项目。
  3. 单击页面左上角的,选择“网络 > 弹性负载均衡”。
  4. 在“负载均衡器”界面,单击需要修改安全策略的监听器的负载均衡器名称。
  5. 切换至“监听器”页签,单击需要修改安全策略的监听器名称。
  6. 在监听器的基本信息页面,单击“编辑监听器”。
  7. 在“编辑监听器”界面,展开高级配置,选择安全策略参数。
  8. 单击“确定”。